CVE-2026-55066

Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 2.4.0 sürümünden önce, POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks uç noktası gövdede sağlanan bir task_id değerini kabul etmekte ancak pkg/models/kanban_task_bucket.go dosyasındaki TaskBucket.CanUpdate yalnızca URL'deki projeyi, görünümü ve kovayı yetkilendirmektedir. Ardından updateTaskBucket, ayrı bir görev izin kontrolü yapmadan Task.ReadOne fonksiyonunu çağırarak mağdur görevin içeriğini döndürmekte ve saldırgan tamamlanmış bir kova seçtiğinde görevin tamamlanma durumunu güncelleyebilmektedir. Görev tanımlayıcıları küresel sıralı değerler olduğu için, kimliği doğrulanmış bir kullanıcı bu modeli paylaşan hem v1 hem de v2 rotaları üzerinden kiracılar arası görevleri numaratöre tabi tutabilir ve bunların tamamlanma meta verilerini değiştirebilir. Bu sorun 2.4.0 sürümünde düzeltilmiştir.